تحديث أمني لـ APT في Debian يعالج CVE-2026-109518 في trixie

نشرت Debian النشرة الأمنية DSA-6607-1 لمدير الحزم apt، وتغطي CVE-2026-109518. اكتشف Max Justicz أن APT يمكنه دمج تنزيلين مختلفين لحزمة بعد أن تعطي إعادة توجيه HTTP لهما نفس URI. ويمكن للتعامل غير السليم مع الملفات عند استئناف تنزيل HTTP السماح لمنفذ هجوم في المنتصف باستبدال حزمة بعد التحقق وتنفيذ تعليمات برمجية اعتباطية بصلاحية root.

الإصلاح والإصدارات المتأثرة

بالنسبة للتوزيعة المستقرة، المدعوة trixie، تم إصلاح المشكلة في apt الإصدار 3.0.4. ووفقاً لصفحة متتبع الأمان، أُصلحت المشكلة أيضاً في bookworm بالإصدار 2.6.2 عبر نشرة LTS رقم DLA-4880-1، وفي فرع sid غير المستقر بالإصدار 3.3.6. ولا يزال فرع forky، بالإصدار 3.3.5، عرضة للثغرة. كما تتناول التحديثة عدة مشكلات وصول خارج الحدود.

الإجراء الموصى به

توصي Debian بأن يقوم المستخدمون بترقية حزم apt الخاصة بهم. كما تشير النشرة إلى صفحة متتبع أمان apt للحصول على معلومات مفصلة عن حالة الأمان، وإلى موارد أمان Debian للحصول على مزيد من المعلومات حول النشرات، وتطبيق التحديثات، والأسئلة الشائعة.

المصادر: Debian